Estratégias de recuperação de desastres: RTO, RPO e as quatro opções

Em uma frase

RTO é quanto tempo você aceita ficar parado; RPO é quanto dado aceita perder. As quatro estratégias são pontos numa reta: quanto menores os dois números, mais caro. A questão dá os números e espera a opção mais barata que os atende.

Os dois números, sem trocar um pelo outro

Uma forma de nunca trocar: RPO é definido pela frequência da cópia (backup de hora em hora dá RPO de uma hora; replicação contínua dá RPO de segundos). RTO é definido pelo quanto já está de pé na região secundária.

As quatro estratégias

A distinção que mais confunde é entre as duas do meio:

• Luz-piloto: o dado está replicado e vivo; a aplicação não está rodando. No desastre, você liga a partir de imagens e modelos prontos.
• Espera morna: existe um ambiente funcionando, menor que o de produção, que talvez já receba uma fatia do tráfego. No desastre, você escala o que já está lá.

Ligar leva mais tempo que escalar; daí a diferença de RTO e de custo.

O que mais precisa existir na outra região

Replicar o banco é a parte visível. O RTO estoura no teste por causa do resto:

1. 1Imagens (AMI) e modelos de lançamento atualizados, não os de seis meses atrás.
2. 2Rede pronta: VPC, sub-redes em mais de uma zona, grupos de segurança, endpoints.
3. 3Identidade e configuração: papéis do IAM, segredos no Secrets Manager, parâmetros.
4. 4Limites de serviço suficientes na região secundária para subir a capacidade inteira.
5. 5O caminho do tráfego: zona do Route 53 com failover e verificações prontas, ou Global Accelerator.

As peças de replicação

• AWS Backup: plano central com agendamento, retenção e cópia entre regiões e contas, cobrindo EBS, RDS, DynamoDB, EFS, S3 e FSx. É a resposta de "menor esforço" quando o cenário tem vários tipos de recurso.
• S3 com replicação entre regiões: assíncrona, exige versionamento nos dois buckets.
• Banco: cópia de snapshot entre regiões para RPO de horas; réplica de leitura ou Aurora Global Database para RPO de minutos ou menos; tabela global do DynamoDB para ativo em várias regiões.
• Comutação: Route 53 com failover e verificação de integridade, lembrando que o TTL entra no RTO; Global Accelerator quando a comutação precisa ser mais rápida que o DNS permite.

Como responder o cenário

Extraia os dois números do enunciado. Use o RPO para decidir o mecanismo de dados (backup periódico, réplica contínua, ativo em várias regiões) e o RTO para decidir quanto fica ligado na secundária. Depois aplique a palavra: com "menor custo", desça a reta até a última opção que ainda cabe nos dois números. E confira se a alternativa fala em falha de região: se ela oferece Multi-AZ, está respondendo outra pergunta.